Signer le code sans token et en sécurité dans le cloud
23 juin 2022 | Jindřich Zechmeister
La plateforme DigiCert ONE est une solution complète et moderne pour la gestion de PKI ; le nouveau composant Secure Software Manager récemment créé est conçu pour signer des logiciels dans le cloud, peut être connecté à la signature automatisée et intégré au processus processus CI/CD. Signez partout, à tout moment et automatiquement !
DigiCert Secure Software Manager
Vous en avez assez d'emprunter le token entre collègues et entrer le mot de passe pour signer les modifications du code ? Êtes-vous paranoïaque à propos d'un éventuel vol et des usages abusifs de clés ? Vous pouvez oublier vos soucis, Digicert lance Secure Software Manager qui résoudra vos problèmes.
La plateforme DigiCert ONE est une solution complète et moderne pour la gestion de PKI ; le nouveau composant Secure Software Manager récemment créé est conçu pour signer des logiciels dans le cloud, peut être connecté à la signature automatisée et intégré au processus processus CI/CD. Signez partout, à tout moment et automatiquement !
Pourquoi signer avez Secure Software Manager
En utilisant le Secure Software Manager, les clés sont stockées en toute sécurité (clé privée et certificat) dans le cloud DigiCert. Les accès et utilisations non autorisés sont donc exclus.
Un autre grand avantage est la possibilité d'utiliser le certificat Code Signing EV sans token. Le token empêche d'automatiser la signature (le mot de passe doit être saisi à chaque signature) et vous agace lorsque vous travaillez en équipe. Avec le Secure Software Manager, votre certificat Code Signing EV et la clé privée sont stockés dans le cloud et vous pouvez décider décider du moment où le certificat va être utilisé. Il existe également d'autres éléments de sécurité, tels que la Piste d’audit (qui a signé quoi et quand) ou la planification du "release".
Secure Software Manager vous permet de gérer les clés de manière bien organisée et de contrôler les droits. Vous pouvez configurer les profils des clés (des longueurs) et des certificats (des algorithmes) dont vous avez besoin. Vous pouvez désactiver l'utilisation des clés ou configurer une rotation automatique des clés pour une plus grande sécurité.
Comment signer dans le cloud ?
Digicert Secure Software Manager utilise ce qu'on appelle la signature par hachage ("hash signing"). Les fichiers ne sont jamais téléchargés et on signe une empreinte de fichier (et non le fichier lui-même). Vous pouvez signer comme avant et vous ne verrez pas la différence. Mais la sécurité du stockage des certificats sera considérablement accrue et la possibilité des usages abusifs de clés est réduite au minimum. Pour en savoir plus, consultez le document Hash Signing with DigiCert Secure Software Manager.
Avec cette méthode de signature, ni les données signées, ni la clé privée avec le certificat ne passent par Internet. Seul le hachage (empreinte digitale) du fichier signé avec la clé privée stockée dans le Secure Software Manager, est passé par Internet. Vous n'avez pas besoin de télécharger des fichiers volumineux ; le fichier peut faire plusieurs gigaoctets. La vitesse de calcul du hachage (empreinte digitale) se fait généralement en quelques secondes. Après la signature sera aussi rapide pour tous les fichiers, car le hash (empreinte digitale) aura toujours la même longueur (si on utilise la même fonction).
Les bibliothèques KSP (- key storage provider) de Digicert installées dans votre ordinateur assurent la communication avec le cloud via l'API. Pour l'utilisateur, tout est aussi simple qu'avant, lorsque le certificat était stocké dans l'ordinateur. DigiCert dispose de bibliothèques pour tous les systèmes. Grâce à intégration native avec les outils DevOps CI/CD (Jenkins, Azure, Gradle, Apache Maven), vous pouvez automatiser la signature.
Les bibliothèques KSP pour Windows supportent la signature des fichiers Authenticode avec Windows SignTool, Mage, Nuget, Clickonce, HLK et HCK. Vous pouvez signer non seulement des applications, mais pratiquement tous les types des fichiers.
Les PKCS11 pour Java, Android, Linux, Docker, OpenSSL, GPG, XML, et autres supportent la signature des formats de fichiers Java (*.jar, *.war, *.sar, *.ear) et Android *.apk avec JarSigner. Compatibilité avec Docker Notary, APIKSigner pour Android, OpenSSL, GPG, Debian, XML, JSign, osslsigncode et autres.
À propos de DigiCert ONE
DigiCert ONE est une plate-forme de gestion de PKI. Il couvre tous les aspects dont vous pourriez avoir besoin, de votre propre autorité de certification dans le cloud à la signature de fichiers et d'applications. La plate-forme a été développée pour être utilisée dans l'automatisation et intégrée dans CI/CD. Pour découvrir comment intégrer DigiCert ONE dans DevOps, consultez ce document. Débarrassez-vous des tokens avec les certificats Code Signing EV, la solution d'avenir est là !
DigiCert ONE contient les composants suivants :
- DigiCert® Secure Software Manager
- DigiCert® IoT Device Manager
- DigiCert® Enterprise PKI Manager
- DigiCert® Document Signing Manager
- DigiCert CertCentral® TLS Manager
Comment obtenir Secure Software Manager et DigiCert ONE
Pour obtenir une licence de Secure Software Manager et l'accès au DigiCert ONE, contactez-nous directement sur info@sslmarket.fr. Nous sommes un Partenaire Platinum Elite de l'autorité de certification DigiCert, et vous pouvez compter sur la rapidité et l'efficacité des processus. Nous nous occupons de toutes les démarches nécessaires.
